Art韈ulo 79 Alcance

Los responsables de los tratamientos o los ficheros y los encargados del tratamiento deber醤 implantar las medidas de seguridad con arreglo a lo dispuesto en este T韙ulo, con independencia de cual sea su sistema de tratamiento.

Art韈ulo 80 Niveles de seguridad

Las medidas de seguridad exigibles a los ficheros y tratamientos se clasifican en tres niveles: b醩ico, medio y alto.

Art韈ulo 81 Aplicaci髇 de los niveles de seguridad

1. Todos los ficheros o tratamientos de datos de car醕ter personal deber醤 adoptar las medidas de seguridad calificadas de nivel b醩ico.

2. Deber醤 implantarse, adem醩 de las medidas de seguridad de nivel b醩ico, las medidas de nivel medio, en los siguientes ficheros o tratamientos de datos de car醕ter personal:

• a) Los relativos a la comisi髇 de infracciones administrativas o penales.
• b) Aquellos cuyo funcionamiento se rija por el art韈ulo 29 de la Ley Org醤ica 15/1999, de 13 de diciembre.
• c) Aquellos de los que sean responsables Administraciones tributarias y se relacionen con el ejercicio de sus potestades tributarias.
• d) Aqu閘los de los que sean responsables las entidades financieras para finalidades relacionadas con la prestaci髇 de servicios financieros.
• e) Aqu閘los de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. De igual modo, aquellos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social.
• f) Aqu閘los que contengan un conjunto de datos de car醕ter personal que ofrezcan una definici髇 de las caracter韘ticas o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos.

3. Adem醩 de las medidas de nivel b醩ico y medio, las medidas de nivel alto se aplicar醤 en los siguientes ficheros o tratamientos de datos de car醕ter personal:

• a) Los que se refieran a datos de ideolog韆, afiliaci髇 sindical, religi髇, creencias, origen racial, salud o vida sexual.
• b) Los que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas.
• c) Aqu閘los que contengan datos derivados de actos de violencia de g閚ero.

4. A los ficheros de los que sean responsables los operadores que presten servicios de comunicaciones electr髇icas disponibles al p鷅lico o exploten redes p鷅licas de comunicaciones electr髇icas respecto a los datos de tr醘ico y a los datos de localizaci髇, se aplicar醤, adem醩 de las medidas de seguridad de nivel b醩ico y medio, la medida de seguridad de nivel alto contenida en el art韈ulo 103 de este reglamento.

5. En caso de ficheros o tratamientos de datos de ideolog韆, afiliaci髇 sindical, religi髇, creencias, origen racial, salud o vida sexual bastar� la implantaci髇 de las medidas de seguridad de nivel b醩ico cuando:

• a) Los datos se utilicen con la 鷑ica finalidad de realizar una transferencia dineraria a las entidades de las que los afectados sean asociados o miembros.
• b) Se trate de ficheros o tratamientos en los que de forma incidental o accesoria se contengan aquellos datos sin guardar relaci髇 con su finalidad. Letra b) del n鷐ero 5 del art韈ulo 81 redactada por la actual disposici髇 adicional tercera del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 29 enero), que ha sido renumerada por el apartado once del art韈ulo 鷑ico del Real Decreto 951/2015, de 23 de octubre (獴.O.E.� 4 noviembre).Vigencia: 30 enero 2010

6. Tambi閚 podr醤 implantarse las medidas de seguridad de nivel b醩ico en los ficheros o tratamientos que contengan datos relativos a la salud, referentes exclusivamente al grado de discapacidad o la simple declaraci髇 de la condici髇 de discapacidad o invalidez del afectado, con motivo del cumplimiento de deberes p鷅licos.

7. Las medidas incluidas en cada uno de los niveles descritos anteriormente tienen la condici髇 de m韓imos exigibles, sin perjuicio de las disposiciones legales o reglamentarias espec韋icas vigentes que pudieran resultar de aplicaci髇 en cada caso o las que por propia iniciativa adoptase el responsable del fichero.

8. A los efectos de facilitar el cumplimiento de lo dispuesto en este t韙ulo, cuando en un sistema de informaci髇 existan ficheros o tratamientos que en funci髇 de su finalidad o uso concreto, o de la naturaleza de los datos que contengan, requieran la aplicaci髇 de un nivel de medidas de seguridad diferente al del sistema principal, podr醤 segregarse de este 鷏timo, siendo de aplicaci髇 en cada caso el nivel de medidas de seguridad correspondiente y siempre que puedan delimitarse los datos afectados y los usuarios con acceso a los mismos, y que esto se haga constar en el documento de seguridad.

Art韈ulo 82 Encargado del tratamiento

1. Cuando el responsable del fichero o tratamiento facilite el acceso a los datos, a los soportes que los contengan o a los recursos del sistema de informaci髇 que los trate, a un encargado de tratamiento que preste sus servicios en los locales del primero deber� hacerse constar esta circunstancia en el documento de seguridad de dicho responsable, comprometi閚dose el personal del encargado al cumplimiento de las medidas de seguridad previstas en el citado documento.

Cuando dicho acceso sea remoto habi閚dose prohibido al encargado incorporar tales datos a sistemas o soportes distintos de los del responsable, este 鷏timo deber� hacer constar esta circunstancia en el documento de seguridad del responsable, comprometi閚dose el personal del encargado al cumplimiento de las medidas de seguridad previstas en el citado documento.

2. Si el servicio fuera prestado por el encargado del tratamiento en sus propios locales, ajenos a los del responsable del fichero, deber� elaborar un documento de seguridad en los t閞minos exigidos por el art韈ulo 88 de este reglamento o completar el que ya hubiera elaborado, en su caso, identificando el fichero o tratamiento y el responsable del mismo e incorporando las medidas de seguridad a implantar en relaci髇 con dicho tratamiento.

3. En todo caso, el acceso a los datos por el encargado del tratamiento estar� sometido a las medidas de seguridad contempladas en este reglamento.

Art韈ulo 83 Prestaciones de servicios sin acceso a datos personales

El responsable del fichero o tratamiento adoptar� las medidas adecuadas para limitar el acceso del personal a datos personales, a los soportes que los contengan o a los recursos del sistema de informaci髇, para la realizaci髇 de trabajos que no impliquen el tratamiento de datos personales.

Cuando se trate de personal ajeno, el contrato de prestaci髇 de servicios recoger� expresamente la prohibici髇 de acceder a los datos personales y la obligaci髇 de secreto respecto a los datos que el personal hubiera podido conocer con motivo de la prestaci髇 del servicio.

Art韈ulo 84 Delegaci髇 de autorizaciones

Las autorizaciones que en este t韙ulo se atribuyen al responsable del fichero o tratamiento podr醤 ser delegadas en las personas designadas al efecto. En el documento de seguridad deber醤 constar las personas habilitadas para otorgar estas autorizaciones as� como aquellas en las que recae dicha delegaci髇. En ning鷑 caso esta designaci髇 supone una delegaci髇 de la responsabilidad que corresponde al responsable del fichero.

Art韈ulo 85 Acceso a datos a trav閟 de redes de comunicaciones

Las medidas de seguridad exigibles a los accesos a datos de car醕ter personal a trav閟 de redes de comunicaciones, sean o no p鷅licas, deber醤 garantizar un nivel de seguridad equivalente al correspondiente a los accesos en modo local, conforme a los criterios establecidos en el art韈ulo 80.

Art韈ulo 86 R間imen de trabajo fuera de los locales del responsable del fichero o encargado del tratamiento

1. Cuando los datos personales se almacenen en dispositivos port醫iles o se traten fuera de los locales del responsable de fichero o tratamiento, o del encargado del tratamiento ser� preciso que exista una autorizaci髇 previa del responsable del fichero o tratamiento, y en todo caso deber� garantizarse el nivel de seguridad correspondiente al tipo de fichero tratado.

2. La autorizaci髇 a la que se refiere el p醨rafo anterior tendr� que constar en el documento de seguridad y podr� establecerse para un usuario o para un perfil de usuarios y determinando un periodo de validez para las mismas.

Art韈ulo 87 Ficheros temporales o copias de trabajo de documentos

1. Aquellos ficheros temporales o copias de documentos que se hubiesen creado exclusivamente para la realizaci髇 de trabajos temporales o auxiliares deber醤 cumplir el nivel de seguridad que les corresponda conforme a los criterios establecidos en el art韈ulo 81.

2. Todo fichero temporal o copia de trabajo as� creado ser� borrado o destruido una vez que haya dejado de ser necesario para los fines que motivaron su creaci髇.

Art韈ulo 88 El documento de seguridad

1. El responsable del fichero o tratamiento elaborar� un documento de seguridad que recoger� las medidas de 韓dole t閏nica y organizativa acordes a la normativa de seguridad vigente que ser� de obligado cumplimiento para el personal con acceso a los sistemas de informaci髇.

2. El documento de seguridad podr� ser 鷑ico y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. Tambi閚 podr醤 elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos seg鷑 el sistema de tratamiento utilizado para su organizaci髇, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendr� el car醕ter de documento interno de la organizaci髇.

3. El documento deber� contener, como m韓imo, los siguientes aspectos:

• a) 羗bito de aplicaci髇 del documento con especificaci髇 detallada de los recursos protegidos.
• b) Medidas, normas, procedimientos de actuaci髇, reglas y est醤dares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
• c) Funciones y obligaciones del personal en relaci髇 con el tratamiento de los datos de car醕ter personal incluidos en los ficheros.
• d) Estructura de los ficheros con datos de car醕ter personal y descripci髇 de los sistemas de informaci髇 que los tratan.
• e) Procedimiento de notificaci髇, gesti髇 y respuesta ante las incidencias.
• f) Los procedimientos de realizaci髇 de copias de respaldo y de recuperaci髇 de los datos en los ficheros o tratamientos automatizados.
• g) Las medidas que sea necesario adoptar para el transporte de soportes y documentos, as� como para la destrucci髇 de los documentos y soportes, o en su caso, la reutilizaci髇 de estos 鷏timos.

4. En caso de que fueran de aplicaci髇 a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este t韙ulo, el documento de seguridad deber� contener adem醩:

• a) La identificaci髇 del responsable o responsables de seguridad.
• b) Los controles peri骴icos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento.

5. Cuando exista un tratamiento de datos por cuenta de terceros, el documento de seguridad deber� contener la identificaci髇 de los ficheros o tratamientos que se traten en concepto de encargado con referencia expresa al contrato o documento que regule las condiciones del encargo, as� como de la identificaci髇 del responsable y del per韔do de vigencia del encargo.

6. En aquellos casos en los que datos personales de un fichero o tratamiento se incorporen y traten de modo exclusivo en los sistemas del encargado, el responsable deber� anotarlo en su documento de seguridad. Cuando tal circunstancia afectase a parte o a la totalidad de los ficheros o tratamientos del responsable, podr� delegarse en el encargado la llevanza del documento de seguridad, salvo en lo relativo a aquellos datos contenidos en recursos propios. Este hecho se indicar� de modo expreso en el contrato celebrado al amparo del art韈ulo 12 de la Ley Org醤ica 15/1999, de 13 de diciembre, con especificaci髇 de los ficheros o tratamientos afectados.

En tal caso, se atender� al documento de seguridad del encargado al efecto del cumplimiento de lo dispuesto por este reglamento.

7. El documento de seguridad deber� mantenerse en todo momento actualizado y ser� revisado siempre que se produzcan cambios relevantes en el sistema de informaci髇, en el sistema de tratamiento empleado, en su organizaci髇, en el contenido de la informaci髇 incluida en los ficheros o tratamientos o, en su caso, como consecuencia de los controles peri骴icos realizados. En todo caso, se entender� que un cambio es relevante cuando pueda repercutir en el cumplimiento de las medidas de seguridad implantadas.

8. El contenido del documento de seguridad deber� adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de car醕ter personal.

Art韈ulo 89 Funciones y obligaciones del personal

1. Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de car醕ter personal y a los sistemas de informaci髇 estar醤 claramente definidas y documentadas en el documento de seguridad.

Tambi閚 se definir醤 las funciones de control o autorizaciones delegadas por el responsable del fichero o tratamiento.

2. El responsable del fichero o tratamiento adoptar� las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones as� como las consecuencias en que pudiera incurrir en caso de incumplimiento.

Art韈ulo 90 Registro de incidencias

Deber� existir un procedimiento de notificaci髇 y gesti髇 de las incidencias que afecten a los datos de car醕ter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificaci髇, a qui閚 se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas.

Art韈ulo 91 Control de acceso

1. Los usuarios tendr醤 acceso 鷑icamente a aquellos recursos que precisen para el desarrollo de sus funciones.

2. El responsable del fichero se encargar� de que exista una relaci髇 actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos.

3. El responsable del fichero establecer� mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados.

4. Exclusivamente el personal autorizado para ello en el documento de seguridad podr� conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero.

5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deber� estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.

Art韈ulo 92 Gesti髇 de soportes y documentos

1. Los soportes y documentos que contengan datos de car醕ter personal deber醤 permitir identificar el tipo de informaci髇 que contienen, ser inventariados y solo deber醤 ser accesibles por el personal autorizado para ello en el documento de seguridad.

Se except鷄n estas obligaciones cuando las caracter韘ticas f韘icas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad.

2. La salida de soportes y documentos que contengan datos de car醕ter personal, incluidos los comprendidos y/o anejos a un correo electr髇ico, fuera de los locales bajo el control del responsable del fichero o tratamiento deber� ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad.

3. En el traslado de la documentaci髇 se adoptar醤 las medidas dirigidas a evitar la sustracci髇, p閞dida o acceso indebido a la informaci髇 durante su transporte.

4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de car醕ter personal deber� procederse a su destrucci髇 o borrado, mediante la adopci髇 de medidas dirigidas a evitar el acceso a la informaci髇 contenida en el mismo o su recuperaci髇 posterior.

5. La identificaci髇 de los soportes que contengan datos de car醕ter personal que la organizaci髇 considerase especialmente sensibles se podr� realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificaci髇 para el resto de personas.

Art韈ulo 93 Identificaci髇 y autenticaci髇

1. El responsable del fichero o tratamiento deber� adoptar las medidas que garanticen la correcta identificaci髇 y autenticaci髇 de los usuarios.

2. El responsable del fichero o tratamiento establecer� un mecanismo que permita la identificaci髇 de forma inequ韛oca y personalizada de todo aquel usuario que intente acceder al sistema de informaci髇 y la verificaci髇 de que est� autorizado.

3. Cuando el mecanismo de autenticaci髇 se base en la existencia de contrase馻s existir� un procedimiento de asignaci髇, distribuci髇 y almacenamiento que garantice su confidencialidad e integridad.

4. El documento de seguridad establecer� la periodicidad, que en ning鷑 caso ser� superior a un a駉, con la que tienen que ser cambiadas las contrase馻s que, mientras est閚 vigentes, se almacenar醤 de forma ininteligible.

Art韈ulo 94 Copias de respaldo y recuperaci髇

1. Deber醤 establecerse procedimientos de actuaci髇 para la realizaci髇 como m韓imo semanal de copias de respaldo, salvo que en dicho per韔do no se hubiera producido ninguna actualizaci髇 de los datos.

2. Asimismo, se establecer醤 procedimientos para la recuperaci髇 de los datos que garanticen en todo momento su reconstrucci髇 en el estado en que se encontraban al tiempo de producirse la p閞dida o destrucci髇.

趎icamente, en el caso de que la p閞dida o destrucci髇 afectase a ficheros o tratamientos parcialmente automatizados, y siempre que la existencia de documentaci髇 permita alcanzar el objetivo al que se refiere el p醨rafo anterior, se deber� proceder a grabar manualmente los datos quedando constancia motivada de este hecho en el documento de seguridad.

3. El responsable del fichero se encargar� de verificar cada seis meses la correcta definici髇, funcionamiento y aplicaci髇 de los procedimientos de realizaci髇 de copias de respaldo y de recuperaci髇 de los datos.

4. Las pruebas anteriores a la implantaci髇 o modificaci髇 de los sistemas de informaci髇 que traten ficheros con datos de car醕ter personal no se realizar醤 con datos reales, salvo que se asegure el nivel de seguridad correspondiente al tratamiento realizado y se anote su realizaci髇 en el documento de seguridad.

Si est� previsto realizar pruebas con datos reales, previamente deber� haberse realizado una copia de seguridad.

Art韈ulo 95 Responsable de seguridad

En el documento de seguridad deber醤 designarse uno o varios responsables de seguridad encargados de coordinar y controlar las medidas definidas en el mismo. Esta designaci髇 puede ser 鷑ica para todos los ficheros o tratamientos de datos de car醕ter personal o diferenciada seg鷑 los sistemas de tratamiento utilizados, circunstancia que deber� hacerse constar claramente en el documento de seguridad.

En ning鷑 caso esta designaci髇 supone una exoneraci髇 de la responsabilidad que corresponde al responsable del fichero o al encargado del tratamiento de acuerdo con este reglamento.

Art韈ulo 96 Auditor韆

1. A partir del nivel medio los sistemas de informaci髇 e instalaciones de tratamiento y almacenamiento de datos se someter醤, al menos cada dos a駉s, a una auditor韆 interna o externa que verifique el cumplimiento del presente t韙ulo.

Con car醕ter extraordinario deber� realizarse dicha auditor韆 siempre que se realicen modificaciones sustanciales en el sistema de informaci髇 que puedan repercutir en el cumplimiento de las medidas de seguridad implantadas con el objeto de verificar la adaptaci髇, adecuaci髇 y eficacia de las mismas. Esta auditor韆 inicia el c髆puto de dos a駉s se馻lado en el p醨rafo anterior.

2. El informe de auditor韆 deber� dictaminar sobre la adecuaci髇 de las medidas y controles a la Ley y su desarrollo reglamentario, identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deber�, igualmente, incluir los datos, hechos y observaciones en que se basen los dict醡enes alcanzados y las recomendaciones propuestas.

3. Los informes de auditor韆 ser醤 analizados por el responsable de seguridad competente, que elevar� las conclusiones al responsable del fichero o tratamiento para que adopte las medidas correctoras adecuadas y quedar醤 a disposici髇 de la Agencia Espa駉la de Protecci髇 de Datos o, en su caso, de las autoridades de control de las comunidades aut髇omas.

Art韈ulo 97 Gesti髇 de soportes y documentos

1. Deber� establecerse un sistema de registro de entrada de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el emisor, el n鷐ero de documentos o soportes incluidos en el env韔, el tipo de informaci髇 que contienen, la forma de env韔 y la persona responsable de la recepci髇 que deber� estar debidamente autorizada.

2. Igualmente, se dispondr� de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el n鷐ero de documentos o soportes incluidos en el env韔, el tipo de informaci髇 que contienen, la forma de env韔 y la persona responsable de la entrega que deber� estar debidamente autorizada.

Art韈ulo 98 Identificaci髇 y autenticaci髇

El responsable del fichero o tratamiento establecer� un mecanismo que limite la posibilidad de intentar reiteradamente el acceso no autorizado al sistema de informaci髇.

Art韈ulo 99 Control de acceso f韘ico

Exclusivamente el personal autorizado en el documento de seguridad podr� tener acceso a los lugares donde se hallen instalados los equipos f韘icos que den soporte a los sistemas de informaci髇.

Art韈ulo 100 Registro de incidencias

1. En el registro regulado en el art韈ulo 90 deber醤 consignarse, adem醩, los procedimientos realizados de recuperaci髇 de los datos, indicando la persona que ejecut� el proceso, los datos restaurados y, en su caso, qu� datos ha sido necesario grabar manualmente en el proceso de recuperaci髇.

2. Ser� necesaria la autorizaci髇 del responsable del fichero para la ejecuci髇 de los procedimientos de recuperaci髇 de los datos.

Art韈ulo 101 Gesti髇 y distribuci髇 de soportes

1. La identificaci髇 de los soportes se deber� realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificaci髇 para el resto de personas.

2. La distribuci髇 de los soportes que contengan datos de car醕ter personal se realizar� cifrando dichos datos o bien utilizando otro mecanismo que garantice que dicha informaci髇 no sea accesible o manipulada durante su transporte.

Asimismo, se cifrar醤 los datos que contengan los dispositivos port醫iles cuando 閟tos se encuentren fuera de las instalaciones que est醤 bajo el control del responsable del fichero.

3. Deber� evitarse el tratamiento de datos de car醕ter personal en dispositivos port醫iles que no permitan su cifrado. En caso de que sea estrictamente necesario se har� constar motivadamente en el documento de seguridad y se adoptar醤 medidas que tengan en cuenta los riesgos de realizar tratamientos en entornos desprotegidos.

Art韈ulo 102 Copias de respaldo y recuperaci髇

Deber� conservarse una copia de respaldo de los datos y de los procedimientos de recuperaci髇 de los mismos en un lugar diferente de aquel en que se encuentren los equipos inform醫icos que los tratan, que deber� cumplir en todo caso las medidas de seguridad exigidas en este t韙ulo, o utilizando elementos que garanticen la integridad y recuperaci髇 de la informaci髇, de forma que sea posible su recuperaci髇.

Art韈ulo 103 Registro de accesos

1. De cada intento de acceso se guardar醤, como m韓imo, la identificaci髇 del usuario, la fecha y hora en que se realiz�, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado.

2. En el caso de que el acceso haya sido autorizado, ser� preciso guardar la informaci髇 que permita identificar el registro accedido.

3. Los mecanismos que permiten el registro de accesos estar醤 bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivaci髇 ni la manipulaci髇 de los mismos.

4. El per韔do m韓imo de conservaci髇 de los datos registrados ser� de dos a駉s.

5. El responsable de seguridad se encargar� de revisar al menos una vez al mes la informaci髇 de control registrada y elaborar� un informe de las revisiones realizadas y los problemas detectados.

6. No ser� necesario el registro de accesos definido en este art韈ulo en caso de que concurran las siguientes circunstancias:

• a) Que el responsable del fichero o del tratamiento sea una persona f韘ica.
• b) Que el responsable del fichero o del tratamiento garantice que 鷑icamente 閘 tiene acceso y trata los datos personales.

La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deber� hacerse constar expresamente en el documento de seguridad.

Art韈ulo 104 Telecomunicaciones

Cuando, conforme al art韈ulo 81.3 deban implantarse las medidas de seguridad de nivel alto, la transmisi髇 de datos de car醕ter personal a trav閟 de redes p鷅licas o redes inal醡bricas de comunicaciones electr髇icas se realizar� cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la informaci髇 no sea inteligible ni manipulada por terceros.

Art韈ulo 105 Obligaciones comunes

1. Adem醩 de lo dispuesto en el presente cap韙ulo, a los ficheros no automatizados les ser� de aplicaci髇 lo dispuesto en los cap韙ulos I y II del presente t韙ulo en lo relativo a:

• a) Alcance.
• b) Niveles de seguridad.
• c) Encargado del tratamiento.
• d) Prestaciones de servicios sin acceso a datos personales.
• e) Delegaci髇 de autorizaciones.
• f) R間imen de trabajo fuera de los locales del responsable del fichero o encargado del tratamiento.
• g) Copias de trabajo de documentos.
• h) Documento de seguridad.

2. Asimismo se les aplicar� lo establecido por la secci髇 primera del cap韙ulo III del presente t韙ulo en lo relativo a:

• a) Funciones y obligaciones del personal.
• b) Registro de incidencias.
• c) Control de acceso.
• d) Gesti髇 de soportes.

Art韈ulo 106 Criterios de archivo

El archivo de los soportes o documentos se realizar� de acuerdo con los criterios previstos en su respectiva legislaci髇. Estos criterios deber醤 garantizar la correcta conservaci髇 de los documentos, la localizaci髇 y consulta de la informaci髇 y posibilitar el ejercicio de los derechos de oposici髇 al tratamiento, acceso, rectificaci髇 y cancelaci髇.

En aquellos casos en los que no exista norma aplicable, el responsable del fichero deber� establecer los criterios y procedimientos de actuaci髇 que deban seguirse para el archivo.

Art韈ulo 107 Dispositivos de almacenamiento

Los dispositivos de almacenamiento de los documentos que contengan datos de car醕ter personal deber醤 disponer de mecanismos que obstaculicen su apertura. Cuando las caracter韘ticas f韘icas de aqu閘los no permitan adoptar esta medida, el responsable del fichero o tratamiento adoptar� medidas que impidan el acceso de personas no autorizadas.

Art韈ulo 108 Custodia de los soportes

Mientras la documentaci髇 con datos de car醕ter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el art韈ulo anterior, por estar en proceso de revisi髇 o tramitaci髇, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deber� custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada.

Art韈ulo 109 Responsable de seguridad

Se designar� uno o varios responsables de seguridad en los t閞minos y con las funciones previstas en el art韈ulo 95 de este reglamento.

Art韈ulo 110 Auditor韆

Los ficheros comprendidos en la presente secci髇 se someter醤, al menos cada dos a駉s, a una auditor韆 interna o externa que verifique el cumplimiento del presente t韙ulo.

Art韈ulo 111 Almacenamiento de la informaci髇

1. Los armarios, archivadores u otros elementos en los que se almacenen los ficheros no automatizados con datos de car醕ter personal deber醤 encontrarse en 醨eas en las que el acceso est� protegido con puertas de acceso dotadas de sistemas de apertura mediante llave u otro dispositivo equivalente. Dichas 醨eas deber醤 permanecer cerradas cuando no sea preciso el acceso a los documentos incluidos en el fichero.

2. Si, atendidas las caracter韘ticas de los locales de que dispusiera el responsable del fichero o tratamiento, no fuera posible cumplir lo establecido en el apartado anterior, el responsable adoptar� medidas alternativas que, debidamente motivadas, se incluir醤 en el documento de seguridad.

Art韈ulo 112 Copia o reproducci髇

1. La generaci髇 de copias o la reproducci髇 de los documentos 鷑icamente podr� ser realizada bajo el control del personal autorizado en el documento de seguridad.

2. Deber� procederse a la destrucci髇 de las copias o reproducciones desechadas de forma que se evite el acceso a la informaci髇 contenida en las mismas o su recuperaci髇 posterior.

Art韈ulo 113 Acceso a la documentaci髇

1. El acceso a la documentaci髇 se limitar� exclusivamente al personal autorizado.

2. Se establecer醤 mecanismos que permitan identificar los accesos realizados en el caso de documentos que puedan ser utilizados por m鷏tiples usuarios.

3. El acceso de personas no incluidas en el p醨rafo anterior deber� quedar adecuadamente registrado de acuerdo con el procedimiento establecido al efecto en el documento de seguridad.

Art韈ulo 114 Traslado de documentaci髇

Siempre que se proceda al traslado f韘ico de la documentaci髇 contenida en un fichero, deber醤 adoptarse medidas dirigidas a impedir el acceso o manipulaci髇 de la informaci髇 objeto de traslado.